Phishing: définition, mécanismes et exemples d'emails
Phishing expliqué
Le phishing est une technique d'intrusion informatique qui consiste, pour des hackers, à usurper l'identité d'un organisme de confiance pour piéger la victime, en général via un email ou un SMS, et à lui soutirer des identifiants, des codes ou des données bancaires. L'attaque repose moins sur un malware que sur le social engineering : le cybercriminel exploite la confiance, la peur ou la curiosité de sa cible. Dans ce guide, 6 mécanismes et 5 exemples typiques d'hameçonnage montrent concrètement comment l'arnaque fonctionne, comment le reperer et comment se protéger.
Phishing : définition et traduction
Le phishing, traduit par « hameçonnage » en français, désigne toute action visant à faire agir la victime contre son propre intérêt grâce à un faux message. Le mot anglais vient du verbe to fish, pêcher : l'attaquant lance son hameçon dans un large volume de boîtes aux lettres et attend que quelqu'un morde. Il s'agit donc d'un hameconnage ciblé ou de masse, jamais d'un simple spam publicitaire. On oppose volontiers l'hameçonnage au vishing, la variante menée par téléphone, et au phishing vocal ou SMS, appelé smishing.
Pourquoi « phishing » et pas « fishing »
Pourquoi ce nom ? Parce que la lettre de pêche (the fish) ne désigne pas l'attaque, mais l'appât. Le préfixe « ph- » remplace le « f- » original, un jeu de mots emprunté à la culture pirate et hacker. Cette orthographe particulière est restée dans l'usage informatique français, où l'on parle de phishing, de phishing de masse et de campagnes de phishing, tandis que « fishing » seul évoque la pêche sportive ou la pêche en mer.
Les 6 mécanismes d'un phishing
Un email de phishing suit presque toujours 6 étapes qui se ressemblent d'une campagne à l'autre :
- l'usurpation d'identité, avec un logo et une adresse expéditeur qui imitent un vrai service ;
- l'hameçon, c'est-à-dire le motif d'urgence, la promesse de gain ou l'alerte de sécurité ;
- l'émotion déclenchée, peur, avidité ou curiosité, qui court-circuite le doute ;
- le lien piégé ou la pièce jointe qui redirige vers un site faussé ;
- la saisie des identifiants sur la page frauduleuse ;
- l'exploitation des données, revendues ou utilisées pour un vol.
Chaque étape s'appuie sur les 3 signes faibles les plus exploités : une urgence inventée, une erreur supposée dans le compte de la victime et un lien vers une page qui recopie fidèlement le site légitime.
5 exemples d'emails de phishing
Ces 5 exemples d'emails de phishing restent parmi les plus répandus en 2026 :
| Exemple | Motif de l'hameçon | Donnée visée |
|---|---|---|
| Amazon Prime | abonnements non payés ou colis bloqués | identifiants et carte bancaire |
| banque en ligne | anomalie de connexion à confirmer | identifiants et code de validation |
| fournisseur de colis | paquet en attente de règlement | carte bancaire |
| collègue ou supérieur | virement urgent à approuver | accès au compte d'entreprise |
| administration fiscale | remboursement ou contrôle à régler | identité et coordonnées bancaires |
Dans chacun de ces cas, le message reproduit la charte graphique du site officiel, un point que le phishing de masse pousse encore plus loin en automatisant l'envoi à des milliers de boîtes en quelques minutes.
Comment reperer un phishing et le signaler
Pour reperer un phishing, vérifiez 4 points avant de cliquer : l'adresse expéditeur réelle, l'URL du lien au survol, les fautes et la langue, et la demande de données sensibles. Ne cliquez jamais sur le lien, mais saisissez l'adresse du site officiel à la main. En cas de doute, signalez le message : en Belgique, le centre Cybercrime de la police fédérale et le point de contact BE-CCERT reçoivent les signalements, et chaque banque dispose d'un canal dédié. Si vous avez déjà saisi vos identifiants, changez-les immédiatement et prévenez votre banque.
Comment se protéger du phishing
La protection contre le phishing repose sur 3 couches de défense complémentaires. La première couche est comportementale : activer la double authentification, méfier de toute urgence et vérifier l'expéditeur. La deuxième couche est technique : un antivirus qui analyse les liens et les pièces jointes, un pare-feu qui limite les connexions sortantes et un navigateur mis à jour. La troisième couche est organisationnelle, avec des formations régulières et des politiques claires. Cette approche rejoint, plus largement, l'Anti-hack et ses concepts clés, car le phishing est l'une des intrusions les plus fréquentes que l'on cherche à contrer. Il faut aussi savoir reconnaître un Le ransomware, souvent livré par le même email piégé, et comprendre le fonctionnement de l'Antivirus : le mecanisme, qui bloque les menaces avant qu'elles n'atteignent la machine. Enfin, le pare-feu reste la seconde ligne de défense face à un pare-feu informatique, comme celui que couvre Le pare-feu informatique.